За какво става дума
Телефонът Ви иска да потвърдите вход, някой по телефона иска код, приложение Ви предлага ключ за достъп. Пет ситуации – въпросът винаги е: аз ли го задействах?
Какво упражнявате
Да разберете потвърждаването в две стъпки и ключовете за достъп, да отказвате чужди заявки и никога да не давате кодове на други.
Интерактивното упражнение изисква JavaScript. Без JavaScript тук можете да прочетете всички случаи с обясненията към тях.
Брегова банка
Потвърждавате ли влизането?
Ново влизане в онлайн банкирането
Устройство: компютър · Място: неизвестно · току-що
[Откажи] [Потвърди]
Вечеряте и в момента не влизате никъде.
Какво правите?
- ✓ Отказвам – и после сменям паролата чрез приложението, което отварям лично. – Точно така. Явно някой знае паролата Ви, но не може да мине покрай втория ключ. Сменете паролата, за да си остане така.
- ✗ Потвърждавам, за да изчезне съобщението. – Така щяхте да пуснете непознати в онлайн банкирането си. Потвърждавайте само влизания, които току-що сте започнали сами.
- ✗ Махам съобщението и продължавам да вечерям. – Почти: така вратата остава затворена. Но някой знае паролата Ви – сменете я, иначе скоро ще дойде следващата заявка.
Капан: ако потвърдите влизане, което не сте започнали Вие, пускате непознати вътре. Тук вторият ключ свърши работа – сега сменете и паролата.
Кинооблак
Потвърждавате ли влизането?
Ново влизане в kinooblak.example
Устройство: компютър · току-що
[Откажи] [Потвърди]
Току-що влязохте сами в Кинооблак от компютъра – чрез отметката си.
Какво правите?
- ✓ Потвърждавам – това влизане го започнах току-що аз. – Точно така. За това е потвърждението: доказвате, че наистина сте Вие.
- ✗ Отказвам – такива заявки винаги са измама. – Не винаги: тази заявка я предизвикахте Вие. Важното е дали в момента влизате сами.
Истинско. Вие сами започнахте влизането – точно за това е потвърждението. Въпросът винаги е: аз ли току-що предизвиках това?
Пеперуда Мобайл
Потвърждавате ли влизането? (6-а заявка)
Ново влизане в профила Ви
Устройство: неизвестно · току-що
[Откажи] [Потвърди]
От десет минути този въпрос идва отново и отново, посред нощ.
Какво правите?
- ✓ Отказвам всеки път, сменям паролата и съобщавам на Пеперуда Мобайл на познатия номер. – Точно така. Потокът от заявки трябва да Ви изтощи. Отказът не струва нищо – а с нова парола заявките спират.
- ✗ Потвърждавам веднъж, за да има най-сетне спокойствие. – Точно на това чакат нападателите: някой раздразнен или сънен да докосне „Потвърди“.
Капан: изтощаване. Нападатели, които знаят паролата Ви, изпращат заявка след заявка, докато някой от раздразнение не потвърди. Откажете, сменете паролата, уведомете доставчика.
Кинооблак Обслужване · 0700 ••• ••61
Обаждащ се: Добър ден, обслужване на клиенти на Кинооблак. В момента някой се опитва да превземе профила Ви. За защита Ви изпратихме код за потвърждение – моля, прочетете ми го и ще блокираме нападателя.
На телефона Ви: „Вашият код за Кинооблак: 48•••1. Никога не споделяйте този код.“
Какво правите?
- ✓ Затварям. Кодът не се дава на никого – той е вторият ключ. – Точно така. С кода не блокирате никого – пускате обаждащия се вътре. Нападателят е самият обаждащ се.
- ✗ Прочитам кода – става дума за защитата на профила ми. – Тогава той щеше да има профила Ви. Щом в съобщението пише „никога не споделяйте“, това важи и за обаждащи се, които се представят за обслужване на клиенти.
Капан: който пита по телефона за кода Ви, иска профила Ви. Кодът е като ключ – не го давате от ръцете си, дори на „обслужването на клиенти“.
В приложението на Брегова банка
„Влизайте занапред с ключ за достъп (passkey) – с пръстов отпечатък, лицето си или ПИН кода на телефона.“
Отворили сте приложението сами.
Какво мислите?
- ✓ Настройвам го – ключът за достъп работи само на истинския сайт на банката. – Добре. Ключ за достъп не може да се въведе на фалшив сайт – той е обвързан с истинския адрес.
- ✗ Отказвам – иначе приложението ще изпрати пръстовия ми отпечатък на банката. – Пръстовият отпечатък остава в телефона Ви. Банката научава само, че проверката е успешна – самия отпечатък не получава.
Така е добре. Ключът за достъп замества паролата и работи само на истинския сайт – фалшивата страница не може да направи нищо с него. Пръстовият отпечатък при това не напуска устройството Ви.
Вторият ключ накратко
Парола плюс доказателство
С потвърждаването в две стъпки само откраднатата парола не стига: за влизане е нужен и телефонът Ви – код или потвърждение в приложение.
Ключовете за достъп отиват по-далеч
Ключът за достъп заменя паролата. Потвърждавате с пръстов отпечатък, лице или ПИН кода на телефона си, и той работи само на истинския сайт – фалшивият не получава нищо. Германската служба BSI и британският NCSC препоръчват ключовете за достъп.
Аз ли го задействах току-що?
Потвърждавайте само вход, който сте започнали сами, току-що. Всичко друго: откажете, после сменете паролата.
Кодовете остават у Вас
Кодът от SMS или от приложение е ключ. Никой сериозен няма да Ви помоли да му го прочетете – нито банката, нито обслужването на клиенти.
Да свършите у дома
Отметките важат само за момента – нищо не се запазва.
Източници (проверени на 1 октомври 2026 г.)
BSI, „Zwei-Faktor-Authentisierung“, „Passkeys – anmelden ohne Passwort“ и „BSI empfiehlt die Nutzung von Passkeys“ (1 октомври 2024 г.; на немски) · NCSC, „Leave passwords in the past — passkeys are the future“ (23 април 2026 г.; на английски) · американската агенция CISA, „Implementing Number Matching in MFA Applications“ (октомври 2022 г.; за изтощаването със заявки) · FIDO Alliance, „Passkeys“ (пръстовият отпечатък остава на устройството).
Всички фирми, хора, адреси и номера в упражненията са измислени. Всяка прилика с истински фирми или хора би била напълно случайна и неумишлена.
Познавате ли някого, който също трябва да се упражни?
Изпратете това упражнение на – или на когото пожелаете.
Тогава изпратете нататък адреса на това упражнение: https://practice-makes-safe.org/bg/uprazhnenia/vhod